Роскомнадзор зарегистрироваться как оператор персональных данных госуслуги

152-ФЗ: как совладать с персональными данными

В детстве нас учили не говорить незнакомым людям, как нас зовут и где мы живем. А сейчас мы не задумываясь регистрируемся на непонятных сайтах и пишем данные паспорта в странных бланках. Чтобы вашими персональными данными не завладели те самые незнакомые люди, нужно внимательно отнестись к оператору, которому вы их передаете.

Что такое персональные данные

В законе есть три ключевых понятия: персональные данные, оператор и обработка персональных данных.

Персональные данные — это любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Оператор — тот, кто организует и обрабатывает персональные данные.

Обработка персональных данных — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, обновление, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

Важно еще понять, что относится к самим персональным данным. В законе нет прямой формулировки, но к ним относят:

• ФИО (в любых комбинациях);
• дату рождения;
• адрес;
• телефон;
• e-mail;
• фотографии;
• ссылку на персональный сайт;
• ссылку на профиль в социальных сетях.

Другими словами, персданные — это та информация, по которой можно идентифицировать человека. Если вы каким-то образом получаете такие данные в любом сочетании, то являетесь оператором персональных данных.

Что должен сделать оператор персональных данных

Все просто — нужно зарегистрироваться в Роскомнадзоре. Для этого необходимо подать уведомление об обработке персональных данных.

Оператор заполняет электронную форму на Портале персональных данных Роскомнадзора. После того, как уведомление отправлено в систему, нужно распечатать его бумажную копию. Она заверяется подписью и печатью организации, после чего отправляется в территориальный орган Роскомнадзора по месту регистрации компании-оператора.

К операторам относятся физлица, ИП, юрлица, муниципальные органы, государственные органы. Эти категории влияют на размер штрафов.

Когда уведомление Роскомнадзора не требуется

Список ситуаций, когда не нужно отправлять уведомление, прописан в ст. 22 152-ФЗ. Оператор не должен регистрироваться, если персональные данные:

• относятся к субъектам, которых связывают с оператором трудовые отношения;
• используются оператором исключительно для исполнения договора;
• являются общедоступными данными;
• включают только ФИО субъектов;
• нужны для однократного пропуска субъекта на территорию, на которой находится оператор;
• включены в федеральные автоматизированные информационные системы и государственные информационные системы, созданные в целях защиты безопасности государства и общественного порядка;
• обрабатываются без использования средств автоматизации.

Логично, что персональные данные должны быть надежно защищены. Для этого создаются регламенты и настраивается система безопасности. Но не все данные нужно охранять одинаково.

Когда не нужна конфиденциальность персональных данных

В той же статье закона прописаны правила, когда обеспечение конфиденциальности персональных данных не требуется:

• если данные обезличены — по ним невозможно определить принадлежность информации к конкретному лицу;
• если данные общедоступны;
• если данные включают только фамилии, имена и отчества субъектов персональных данных;
• если нужно оформить пропуск на территорию, на которой находится оператор;
• если данные получены оператором в связи с заключением договора;
• если данные относятся к членам общественного объединения или религиозной организации и обрабатываются для достижения законных целей.

Для всех остальных случаев нужно составить политику конфиденциальности.

Что отразить в политике конфиденциальности

Утвержденной законом формы этого документа нет, но есть перечень сведений, которые обязательно должны в нем быть:

• основание и цель сбора персональных данных;
• наименование, контактные данные и адрес;
• информация о том, кто обрабатывает данные. Если этим занимается другая компания, то вписывается информация о третьих лицах, у которых есть доступ к данным;.
• виды данных для обработки и источники их получения;
• сроки обработки и хранения персональных данных;
• способ соблюдения прав субъекта, предусмотренных законом «О персональных данных»;
• информация о передаче данных за пределы России.

Всю эту информацию можно изложить в свободной форме. Требование одно — субъект должен понимать, куда отправляются его персональные данные, как их используют и охраняют.

Как составить согласие на обработку персональных данных

В больницах, школах, визовых центрах, при трудоустройстве приходится заполнять согласие на обработку персональных данных.Это письменное разрешение, которое дает разрешение на получение, сбор, хранение и использование персональных сведений о себе.

Согласие пишется в произвольной форме или по шаблону, который разработан и утвержден внутри организации. В бланке обязательно должны быть следующие данные:

• наименование оператора персональных данных;
• место и дата составления документа;
• фамилия, имя, отчество субъекта, его паспортные данные и сведения о месте жительства.

Далее идет информационная часть согласия. В ней прописывается:

• каких именно персональных данных касается документ;
• в каких целях и что именно допустимо с ними делать;
• срок действия согласия и возможность его отзыва.

Если вам нужен бланк, то скачайте его и измените под ваши нужды.

Когда не нужно согласие

Есть случаи, когда согласие субъекта персональных данных не требуется. Такое возможно, когда обработка персональных данных:

• необходима в связи с реализацией международных договоров Российской Федерации о реадмиссии;
• осуществляется в целях исполнения договора, одной из сторон которого является субъект персональных данных;
• осуществляется для статистических или иных научных целей при условии обязательного обезличивания персональных данных;
• необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных;
• необходима для доставки почтовых отправлений и расчетов с организациями почтовой связи;
• осуществляется в целях профессиональной деятельности журналиста либо в целях научной, литературной или иной творческой деятельности;
• осуществляется в отношении данных, подлежащих опубликованию — например, данные лиц занимающих государственные должности.

Что будет, если нарушать

Штраф. С 1 июля 2017 года действуют поправки в ст. 13.11 КоАП.

Помимо штрафов, оператор будет внесен в «Реестр нарушителей прав субъектов персональных данных». А еще придется подготовиться к проверке.

Отнеситесь к персональным данным с ответственностью, чтобы не стать жертвой мошенников.

Оператор персональных данных

Многие индивидуальные предприниматели и компании не знают, нужно ли им передавать о себе данные в Роскомнадзор и регистрироваться в качестве оператора персональных данных. Постараемся разобраться, кому это делать необходимо.

Про ОПД

К персональным данным человека относится ФИО, номер паспорта, адрес прописки и пр. Исчерпывающий список не утвержден ни одним из действующих законов. Оператор персональных данных это любое физическое лицо или государственный орган, который обрабатывает ПД в тех или иных целях.

Т.е. если сотруднику предприятия по специфике своей работы приходится запрашивать или пересылать персональные данные, его можно назвать их оператором. Это же относится и к лицам, которые имеют доступ к ПД.

Соответственно оператором можно назвать почти любого человека. К примеру, пользователь ПК ведет свой сайт в интернете и собирает информацию о подписчиках. Про банки и различные компании, которые целенаправленно собирают данные гражданина отдельный разговор. Даже если продавец в магазине предлагает покупателю приобрести фирменную бонусную карту, он также является оператором ПД.

Обязанности оператора

Граждане, которые сталкиваются с обработкой персональных данных, обязаны соблюдать связанные с этим вопросом законы. Самый главный из них – неразглашение. После того, как ПД клиента больше не нужны, оператор обязан уничтожить их из хранилища. К прочим обязанностям оператора персональных данных относятся:

1. Разъяснение. Перед тем, как человек сообщит свои данные, оператор обязан объяснить, для чего они нужны и в каких целях будут использоваться. После этого клиент в письменном виде должен дать согласие на обработку ПД. Такое правило регламентируется ФЗ № 152.
2. Политика обработки. Оператор обязан разработать документ, в котором будет подробно описана политика обработки персональных данных в компании. Документ публикуется любым удобным способом. Чаще всего его помещают на официальный сайт компании. Там с ним может ознакомиться люб ой человек.
3. Меры защиты. Главное правило для оператора ПД – неразглашение. Кроме этого лицо, отвечающее за обработку, обязано обеспечить защиту персональных данных от похищения третьими лицами. Т.е. если данные хранятся на компьютере, от оператора требуется защитить их от хакерских атак и пр. Если ПД хранятся на бумажных носителях в помещении, доступ туда должен быть только у оператора.
4. Уничтожение. После того, как ПД больше не нужны (например, клиент прекратил сотрудничество с компанией) данные должны быть уничтожены в отведенные законом сроки. Эта обязанность также лежит на операторе.

Все правила касательно обработки персональных данных закреплены Федеральным законом № 152 от 26 июля 2006 года.

Как зарегистрироваться в качестве ОПД

Перед тем, как оператор начнет обрабатывать персональные данные клиентов, он обязан обратиться в соответствующий государственный орган надзора и сообщить об этом. Однако, согласно все тому же ФЗ № 152 (ч. 2 ст. 22) от постановки на учет освобождаются:

1. Лица, которые используют для своей работы общедоступные данные, которые люди раскрыли сами. Это может быть информация, которая содержится на личных страницах в соц.сетях или на сайтах.
2. Операторы государственных информационных систем, которые используются для обеспечения общественного порядка. Их очень много (Эра-Глонасс, Усправление и пр.).
3. Частные лица и организации, которые используют персональные данные для обеспечения безопасного функционирования транспорта. К примеру, при поездке на междугороднем автобусе или поезде кассир обязан спросить человека ФИО и паспортные данные. Однако регистрироваться в качестве оператора ПД ему не нужно.
4. Освобождаются от регистрации и организации, которые обрабатывают персональные данные вручную, без каких бы то ни было средств автоматизации.

Однако, даже если организация не попадает в обязательный список регистрации операторов ПД, ей все равно придется сообщить о своей деятельности в Роскомнадзор.

Важно! После внесения поправок в действующее законодательство 01. 09. 2022 любой работодатель обязан быть зарегистрированным в реестре Роскомнадзора в качестве оператора персональных данных. Это касается как ИП, у которых есть сотрудники, так и глав больших организаций.

Для регистрации человеку необходимо подать заявление в Роскомнадзор. Его образец можно скачать на сайте контролирующего органа или на Госуслугах. Есть он и в Приказе Минкомсвязи России от 21.12.2011 № 346.

Важно! Подать заявление можно как в бумажном, так и в электронном виде. В первом случае человек после заполнения бланка лично относит его в территориальный орган Роскомнадзора или отправляет его по почте. Во втором – документ оформляется непосредственно на сайте контролирующего органа.

В заявлении необходимо указать следующие данные:

• название компании (как полное, так и сокращенное);
• организационно-правовую форму компании;
• почтовый адрес;
• юридический адрес;
• цель обработки персональных данных;
• какие именно категории персональных данных планирует обрабатывать компания;
• ПД каких категорий граждан будут обрабатываться (пассажиров, работников и т.д.);
• законодательная база на основе которой организация считает возможным обработку персональных данных своими сотрудниками;
• полные сведения о сотрудниках, которые будут заниматься обработкой ПД;
• информацию о том, какие меры защиты ПД будут использованы в компании;
• планируемая дата начала обработки ПД;
• сведения о том, где будут храниться ПД.

Рассмотрение вопроса о регистрации может занять до 30 суток. Если заявление было подано в электронном формате, организации все равно придется направить в территориальный орган Роскомнадзора его бумажную копию. В процессе регистрации сотрудники контролирующего органа вправе потребовать у организации документы для уточнения тех или иных сведений.

Если в процессе работы у организации меняются цели или способы обработки персональных данных, ее руководство в 10-дневный срок обязано уведомить об этом Роскомнадзор. При этом в адрес контролирующего органа направляется письмо. Его форму можно посмотреть на сайте Роскомнадзора.

Основные изменения после 1 сентября 2022 года

В сентябре 2022 года в закон об обработке персональных данных был внесен ряд изменений. Основные из них:

1. Изменился срок ответа на запросы Роскомнадзора (его сократили с 30 до 10 суток);
2. Расширился список тех, к4то обязан регистрироваться в качестве оператора персональных данных. Теперь эту процедуру должны проходить практически все ИП и организации. Исключение – те компании, которые не используют средств автоматизации. К примеру. Если человеку для того, чтобы попасть на территорию предприятия необходимо получить пропуск, оформленный через специальную компьютерную программу, организации необходимо зарегистрироваться в качестве оператора. А если охранник вручную вносит его данные в журнал учета посетителей, регистрация не нужна.
3. В заявление на регистрацию теперь необходимо вносить данные о категории ПД, законодательной базе, на основе которой организация будет заниматься обработкой ПД и подробный перечень действий с ПД, способы их обработки и защиты.
4. Если в компании произошла утечка ПД в течение 24 часов ее руководство должно сообщить об этом в Роскомнадзор. 3 дня дается на проведение внутреннего расследования. Через 72 часа организация должна сообщить Роскомнадзору причину происшествия.
5. Бланк согласия на обработку ПД должен выглядеть понятно и однозначно. Т.е. прочитав его человек сразу должен понять, куда будут внесены его данные, где они буду храниться, как будут защищены и зачем с него требуют их предоставить.

Что будет если не зарегистрироваться в реестре

Ответственность за отказ регистрироваться в реестре наступает согласно ст. 19.7 КоАП РФ. Нарушителям в статусе должностного лица грозит штраф от 300 до 500 рублей, а юридическим лицам – от 3 до 5 тыс. рублей.

В случае, если оператор нарушил условия обработки персональных данных, он будет нести ответственность согласно ст. 13.11 КоАП РФ. Это штраф. Для юридических лиц он варьируется от 15 до 75 тыс. руб. Для ИП – от 5 до 20 тыс. руб. Здесь все зависит от тяжести преступления, а также от того, как именно оно повлияло на репутацию клиентов.

Регистрация в реестре Роскомнадзора: когда требуется и как ее провести?

Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Фактически любое действующее юридическое лицо по смыслу Закона № 152-ФЗ является оператором персональных данных (компании обрабатывают данные клиентов, работников и т.д.). Однако далеко не любая компания, являющаяся оператором персональных данных, обязана включаться в реестр операторов персональных данных (уведомлять Роскомнадзор об обработке персональных данных.

Когда включение в реестр операторов персональных данных не требуется?

Закон содержит исчерпывающий перечень случаев, когда оператор персональных данных вправе осуществлять обработку персональных данных, не уведомляя об этом Роскомнадзор.

С 01.09.2022 года не уведомлять Роскомнадзор об обработке персональных данных можно только в следующих случаях:

• персональные данные включены в государственные автоматизированные информационные системы персональных данных либо информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка
• персональные данные обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных
• персональные данные обрабатываются в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства

• персональные данные обрабатываемых в соответствии с трудовым законодательством
• персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных
• обрабатываются персональные данные членов (участников) общественного объединения или религиозной организации для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных
• субъект персональных данных сделал свои данные общедоступными
• персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных
• персональные необходимы в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях

• увеличивается риск проведения в компании плановых и внеплановых проверок со стороны Роскомнадзора
• увеличивается вероятность блокировки интернет-сайта компании в случае обнаружения нарушений законодательства о персональных данных
• возникает вероятность наложения штрафов за нарушение законодательства об обработки персональных данных

Регистрация оператора персональных данных в реестре Роскомнадзора: пошаговая инструкция

Если вы осуществляете обработку персональных данных, при этом ваша деятельность не подпадает под перечисленные выше случаи, вам необходимо до начала обработки персональных данных направить в Роскомнадзор уведомление.

Шаг 1. Подготовка и подача уведомления об обработке персональных данных

Уведомление в Роскомнадзор должно содержать:

• наименование (фамилия, имя, отчество), адрес оператора
• цель обработки персональных данных (для каждой цели обработки персональных данных указываются категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных)
• описание мер по обеспечению безопасности персональных данных, предусмотренных законом, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
• ФИО физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты
• дату начала обработки персональных данных
• срок или условие прекращения обработки персональных данных
• сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки
• сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации
• сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации
• фамилия, имя, отчество физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах

Уведомление подается на бумажном носителе или в электронном виде.

Шаг 2. Внесение сведений в Реестр Роскомнадзора (публикация сведений в реестре)

Роскомнадзор на основании предоставленного уведомления вносит сведения в реестр операторов персональных данных в течение 30 дней с даты поступления уведомления.

Пошлина за регистрацию в реестре операторов персональных данных Роскомнадзора не уплачивается.

Реестр операторов персональных данных Роскомнадзора

В случае предоставления неполных или недостоверных сведений в уведомлении Роскомнадзор вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов (отказ во внесении в реестр законом не предусмотрен).

Услуги юристов по интеллектуальной собственности

Вы можете заказать комплексные услуги опытных юристов в Юридической фирме «Двитекс».

Для заказа услуг позвоните нам по телефону 8 (495) 223-48-91
или оставьте заявку на сайте

Оператор персональных данных — это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Фактически любое действующее юридическое лицо по смыслу Закона № 152-ФЗ является оператором персональных данных (компании обрабатывают данные клиентов, работников и т.д.). Однако далеко не любая компания, являющаяся оператором персональных данных, обязана включаться в реестр операторов персональных данных (уведомлять Роскомнадзор об обработке персональных данных.

Когда включение в реестр операторов персональных данных не требуется?

Закон содержит исчерпывающий перечень случаев, когда оператор персональных данных вправе осуществлять обработку персональных данных, не уведомляя об этом Роскомнадзор.

С 01.09.2022 года не уведомлять Роскомнадзор об обработке персональных данных можно только в следующих случаях:

• персональные данные включены в государственные автоматизированные информационные системы персональных данных либо информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка
• персональные данные обрабатываются без использования средств автоматизации в соответствии с федеральными законами или иными нормативными правовыми актами Российской Федерации, устанавливающими требования к обеспечению безопасности персональных данных при их обработке и к соблюдению прав субъектов персональных данных
• персональные данные обрабатываются в случаях, предусмотренных законодательством Российской Федерации о транспортной безопасности, в целях обеспечения устойчивого и безопасного функционирования транспортного комплекса, защиты интересов личности, общества и государства в сфере транспортного комплекса от актов незаконного вмешательства

• персональные данные обрабатываемых в соответствии с трудовым законодательством
• персональные данные получены оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных
• обрабатываются персональные данные членов (участников) общественного объединения или религиозной организации для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных
• субъект персональных данных сделал свои данные общедоступными
• персональные данные включают в себя только фамилии, имена и отчества субъектов персональных данных
• персональные необходимы в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях

• увеличивается риск проведения в компании плановых и внеплановых проверок со стороны Роскомнадзора
• увеличивается вероятность блокировки интернет-сайта компании в случае обнаружения нарушений законодательства о персональных данных
• возникает вероятность наложения штрафов за нарушение законодательства об обработки персональных данных

Регистрация оператора персональных данных в реестре Роскомнадзора: пошаговая инструкция

Если вы осуществляете обработку персональных данных, при этом ваша деятельность не подпадает под перечисленные выше случаи, вам необходимо до начала обработки персональных данных направить в Роскомнадзор уведомление.

Шаг 1. Подготовка и подача уведомления об обработке персональных данных

Уведомление в Роскомнадзор должно содержать:

• наименование (фамилия, имя, отчество), адрес оператора
• цель обработки персональных данных (для каждой цели обработки персональных данных указываются категории персональных данных, категории субъектов, персональные данные которых обрабатываются, правовое основание обработки персональных данных, перечень действий с персональными данными, способы обработки персональных данных)
• описание мер по обеспечению безопасности персональных данных, предусмотренных законом, в том числе сведения о наличии шифровальных (криптографических) средств и наименования этих средств;
• ФИО физического лица или наименование юридического лица, ответственных за организацию обработки персональных данных, и номера их контактных телефонов, почтовые адреса и адреса электронной почты
• дату начала обработки персональных данных
• срок или условие прекращения обработки персональных данных
• сведения о наличии или об отсутствии трансграничной передачи персональных данных в процессе их обработки
• сведения о месте нахождения базы данных информации, содержащей персональные данные граждан Российской Федерации
• сведения об обеспечении безопасности персональных данных в соответствии с требованиями к защите персональных данных, установленными Правительством Российской Федерации
• фамилия, имя, отчество физического лица или наименование юридического лица, имеющих доступ и (или) осуществляющих на основании договора обработку персональных данных, содержащихся в государственных и муниципальных информационных системах

Уведомление подается на бумажном носителе или в электронном виде.

Шаг 2. Внесение сведений в Реестр Роскомнадзора (публикация сведений в реестре)

Роскомнадзор на основании предоставленного уведомления вносит сведения в реестр операторов персональных данных в течение 30 дней с даты поступления уведомления.

Пошлина за регистрацию в реестре операторов персональных данных Роскомнадзора не уплачивается.

Реестр операторов персональных данных Роскомнадзора

В случае предоставления неполных или недостоверных сведений в уведомлении Роскомнадзор вправе требовать от оператора уточнения предоставленных сведений до их внесения в реестр операторов (отказ во внесении в реестр законом не предусмотрен).

ЗАДАТЬ ВОПРОС СПЕЦИАЛИСТУ

Оставьте заявку, и мы обязательно вам поможем!

ЗАКАЗАТЬ ОБРАТНЫЙ ЗВОНОК

Начать работу

Направить запрос

ОСТАВИТЬ ЗАЯВКУ

Запись на прием в офис

БЕСПЛАТНАЯ КОНСУЛЬТАЦИЯ ЮРИСТА

Политика конфиденциальности

1.ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика конфиденциальности в отношении обработки персональных данных пользователей сайта https://www.dvitex.ru/ (далее – Политика конфиденциальности) разработана и применяется в ООО Юридическая фирма «Двитекс», ОГРН 1107746800490, г. Москва, пер. Голутвинский 1-й, дом 3-5, оф 4-1 (далее – Оператор) в соответствии с пп. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее по тексту – Закон о персональных данных).

1.2. Настоящая Политика конфиденциальности определяет политику Оператора в отношении обработки персональных данных, принятых на обработку, порядок и условия осуществления обработки персональных данных физических лиц, передавших свои персональные данные для обработки Оператору (далее – субъекты персональных данных) с использованием и без использования средств автоматизации, устанавливает процедуры, направленные на предотвращение нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой персональных данных.

1.3. Политика конфиденциальности разработана с целью обеспечения защиты прав и свобод субъектов персональных данных при обработке их персональных данных, а также с целью установления ответственности должностных лиц Оператора, имеющих доступ к персональным данным субъектов персональных данных, за невыполнение требований и норм, регулирующих обработку персональных данных.

1.4. Персональные данные Субъекта персональных данных – это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.

1.5. Оператор осуществляет обработку следующих персональных данных Пользователей:

• Фамилия, Имя, Отчество;
• Адрес электронной почты;
• Номер телефона;
• иные данные, необходимые Оператору при оказании услуг Пользователям, для обеспечения функционирования Сайта.

1.6. Оператор осуществляет обработку персональных данных Субъектов персональных данных в следующих целях:

• обеспечение возможности обратной связи от Специалистов Оператора по запросам Пользователей;
• обеспечение возможности онлайн оплаты заказанных на Сайте услуг;
• обеспечения исполнения обязательств Оператора перед Пользователями;
• в целях исследования рынка;
• информирования Субъекта персональных данных об акциях, конкурсах, специальных предложениях, о новых услугах, скидок, рекламных материалов и других сервисов, а также получения коммерческой или рекламной информации и бесплатной продукции, участия в выставках или мероприятиях, выполнения маркетинговых исследований и уведомления обо всех специальных инициативах для клиентов;
• статистических целях;
• в иных целях, если соответствующие действия Оператора не противоречат действующему законодательству, деятельности Оператора, и на проведение указанной обработки получено согласие Субъекта персональных данных.

1.7. Оператор осуществляет обработку персональных данных субъектов персональных данных посредством совершения любого действия (операции) или совокупности действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств, включая следующие:

• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• извлечение;
• использование;
• передачу (распространение, предоставление, доступ);
• обезличивание;
• блокирование;
• удаление;
• уничтожение.

2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. При обработке персональных данных Оператор руководствуется следующими принципами:

• законности и справедливости;
• конфиденциальности;
• своевременности и достоверности получения согласия субъекта персональных данных на обработку персональных данных;
• обработки только персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки;
• недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных;
• уничтожения либо обезличивания персональных данных по достижению целей, их обработки или в случае утраты необходимости в достижении этих целей.

2.2. Обработка персональных данных Оператором осуществляется с соблюдением принципов и правил, предусмотренных:

• Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных»;
• Настоящей Политикой конфиденциальности;
• Всеобщей Декларацией прав человека 1948 года;
• Международного пакта о гражданских и политических правах 1966 года;
• Европейской конвенции о защите прав человека и основных свобод 1950 года;
• Положениями Конвенции Содружества Независимых Государств о правах и основных свободах человека (Минск, 1995 год), ратифицированной РФ 11.08.1998 года;
• Положениями Окинавской Хартии глобального информационного общества, принятой 22.07.2000 года;
• Постановлением Правительства РФ от 01.11.2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказом ФСТЭК России от 18.02.2013 года № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• Иными нормативными и ненормативными правовыми актами, регулирующими вопросы обработки персональных данных.

3. ПОЛУЧЕНИЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.

3.1. Персональные данные субъектов персональных данных получаются Оператором:

• путем предоставления субъектом персональных данных при регистрации на Сайте, при подаче заявок, заявлений, анкет, бланков, заполнении регистрационных форм на сайте Оператора или направления по электронной почте, сообщения по телефону службы поддержки Оператора;
• иными способами, не противоречащими законодательству РФ и требованиям международного законодательства о защите персональных данных.

3.2. Оператор получает и начинает обработку персональных данных Субъекта с момента получения его согласия.

3.3. Согласие на обработку персональных данных дается субъектом персональных данных с момента начала использования сайта, в том числе, путем проставления отметок в графах «Я согласен на обработку персональных данных, с условиями и содержанием политики конфиденциальности», посредством совершения субъектом персональных данных конклюдентных действий.

3.4. Субъект персональных данных может в любой момент отозвать свое согласие на обработку персональных данных. Для отзыва согласия на обработку персональных данных, необходимо подать соответствующее заявление Оператору по доступным средствам связи. При этом Оператор должен прекратить их обработку или обеспечить прекращение такой обработки и в случае, если сохранение персональных данных более не требуется для целей их обработки, уничтожить персональные данные или обеспечить их уничтожение в срок, не превышающий 30 (Тридцати) дней с даты поступления указанного отзыва.

3.5. В случае отзыва Субъектом персональных данных согласия на обработку персональных данных, Оператор вправе продолжить обработку персональных данных без согласия Субъекта персональных данных только при наличии оснований, указанных в Законе о персональных данных.

3.6. Субъект персональных данных вправе выбрать, какие именно персональные данные будут им предоставлены. Однако, в случае неполного предоставления необходимых данных Оператор не гарантирует возможность субъекта использовать все сервисы и продукты Сайта, пользоваться всеми услугами Сайта.

3.7. Субъект персональных данных в любой момент может просматривать, обновлять или удалять любые персональные данные, которые включены в его профиль. Для этого он может отредактировать свой профиль в режиме онлайн в личном кабинете или отправить электронное письмо по адресу info@dvitex.ru.

4. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Оператор принимает технические и организационно-правовые меры в целях обеспечения защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

4.2. При обработке персональных данных Оператор применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со ст. 19 Федерального закона «О персональных данных», Постановлением Правительства РФ от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК РФ 14.02.2008 г., Методическими рекомендациями по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации, утвержденных ФСБ РФ 21.02.2008 г. № 149/54-144.

4.3. Для авторизации доступа к Сайту используется Логин и Пароль. Ответственность за сохранность данной информации несет субъект персональных данных. Субъект персональных данных не вправе передавать собственный Логин и Пароль третьим лицам, а также обязан предпринимать меры по обеспечению их конфиденциальности.

4.4. При передаче персональных данных Оператор соблюдает следующие требования:

• не сообщает персональные данные субъекта персональных данных третьей стороне без выраженного согласия, за исключением случаев, когда это необходимо в целях обработки персональных данных, предупреждения угрозы жизни и здоровью субъекта персональных данных, а также в случаях, установленных законодательством;
• не сообщает персональные данные в коммерческих целях без выраженного согласия субъекта персональных данных;
• информирует лиц, получающих персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требует от этих лиц принятия надлежащих мер по защите персональных данных. Лица, получающие персональные данные Пользователя, обязаны соблюдать режим конфиденциальности;
• разрешает доступ к персональным данным только уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретных функций.

4.5. Оператор вправе раскрыть любую собранную о Пользователе данного Сайта информацию, если раскрытие необходимо в связи с расследованием или жалобой в отношении неправомерного использования Сайта, либо для установления (идентификации) Пользователя, который может нарушать или вмешиваться в права Администрации сайта или в права других Пользователей Сайта, а также для выполнения положений действующего законодательства или судебных решений, обеспечения выполнения условий настоящего Соглашения, защиты прав или безопасности иных Пользователей и любых третьих лиц.

4.6. Третьи лица самостоятельно определяют перечень иных лиц (своих сотрудников), имеющих непосредственный доступ к таким персональным данным и (или) осуществляющих их обработку. Перечень указанных лиц, а также порядок доступа и(или) обработки ими персональных данных утверждается внутренними документами Третьего лица.

4.7. Оператор не продаёт и не предоставляет персональные данные третьим лицам для маркетинговых целей, не предусмотренных данной Политикой конфиденциальности, без прямого согласия субъектов персональных данных. Оператор может объединять обезличенные данные с иной информацией, полученной от третьих лиц, и использовать их для совершенствования и персонификации услуг, информационного наполнения и рекламы.

4.8. Обработка персональных данных производится на территории Российской Федерации, трансграничная передача персональных данных не осуществляется. Оператор оставляет за собой право выбирать любые каналы передачи информации о персональных данных, а также содержания передаваемой информации.

4.9. Личная информация, собранная онлайн, хранится у Оператора и/или поставщиков услуг в базах данных, защищенных посредством физических и электронных средств контроля, технологий системы ограничения доступа и других приемлемых мер обеспечения безопасности.

4.10. Субъект персональных данных осознаёт, подтверждает и соглашается с тем, что техническая обработка и передача информации на Сайте Оператора может включать в себя передачу данных по различным сетям, в том числе по незашифрованным каналам связи сети Интернет, которая никогда не является полностью конфиденциальной и безопасной.

4.11. Субъект персональных данных также понимает, что любое сообщения и/или информация, отправленные посредством Сервера Оператора, могут быть несанкционированно прочитаны и/или перехвачены третьими лицами.

5. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

5.1. В случае возникновения любых споров или разногласий, связанных с исполнением настоящих Правил, Субъект персональных данных и Оператор приложат все усилия для их разрешения путем проведения переговоров между ними. В случае, если споры не будут разрешены путем переговоров, споры подлежат разрешению в порядке, установленном действующим законодательством Российской Федерации.

5.2. Настоящие Политика конфиденциальности вступают в силу для Субъекта персональных данных с момента начала использования Сайта Оператора и действует в течение неопределенного срока.

5.3. Настоящие Политика конфиденциальности могут быть изменены и/или дополнены Оператором в любое время в течение срока действия Правил по своему усмотрению без необходимости получения на то согласия Субъекта персональных данных. Все изменения и/или дополнения размещаются Оператором в соответствующем разделе Сайта и вступают в силу в день такого размещения. Субъект персональных данных обязуется своевременно и самостоятельно знакомиться со всеми изменениями и/или дополнениями. При несогласии Субъекта персональных данных с внесенными изменениями он обязан отказаться от доступа к Сайту, прекратить использование материалов и сервисов Сайта.

Уведомление об обработке персональных данных в Роскомнадзор: пошаговая инструкция по подаче

С недавних пор работодателей обязали подавать в Роскомнадзор уведомления об обработке персональных данных своих работников. В бизнес-среде возникают вопросы: кому конкретно следует это делать, в какие сроки и каким способом. Предлагаем Вам ознакомиться с пошаговой инструкцией по этой процедуре и с предстоящими изменениями в ней.

С сентября этого года начала действовать новая версия Федерального закона от 27.07.06 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ). Нововведения заключаются в том, что операторы персональных данных, которыми признаны юрлица и физлица, работающие с ПД, получили новый круг обязанностей. Туда входит извещение Роскомнадзора о своих планах обрабатывать персональные данные действующих работников и соискателей на вакансии. Отметим, что обработкой персональных данных считается и их хранение, в том числе, хранение кадровых документов, которое тоже подпадает под поправки к Закону № 152-ФЗ.

Старая и новая формы уведомления об обработке персональных данных

Сейчас актуальна форма такого извещения, которая содержится в приложении № 1 к методическим рекомендациям, утверждённым приказом Роскомнадзора от 30.05.17 № 94 (далее — Методические рекомендации). Возможны 3 способа её подачи:

1. На бумаге по почте. Вы можете распечатать письмо с портала персональных данных Роскомнадзора. Заполните бланк на портале и кликните по кнопке «Отправить электронное уведомление и подготовить форму к распечатке». Затем распечатайте, поставьте подпись и вышлите письмом.
2. В электронной форме на сайте РКН. Данный вариант уведомления нужно предварительно заверить усиленной квалифицированной электронной подписью.
3. В электронной форме на портале Госуслуг, не дублируя заявку на бумаге, если есть подтверждённая учётная запись, которая привязана к данным фирмы. С сайта РКН Вы сможете перейти к странице заполнения данной формы.

Недавно Роскомнадзор подготовил новые бланки, на которых работодатели должны будут уведомлять службу об обработке персональных данных своих сотрудников. Кроме новой версии этой формы, планируется утвердить бланки ещё 2 уведомлений: о корректировке ранее представленных данных и о прекращении обработки ПД. Проект приказа размещён на государственном портале для публикации проектов нормативно-правовых актов. Давайте разберём порядок действий до и после утверждения новой формы.

До утверждения нового бланка

1. Шаг 1. Проверка фирмы по открытому реестру операторов на сайте РКН. Введите ИНН проверяемой организации или её название и кликните «Найти».
2. Шаг 2. При отсутствии фирмы в реестре отправьте уведомление на бланке, содержащемся в приложении № 1 к Методическим рекомендациям.

Обратите внимание на поле «Дата начала обработки персональных данных». Что в нём указать? В п. 3.1.9 Методических рекомендаций говорится, что нужно ввести число, месяц и год, когда Вы начали какие-либо действия с персональными данными. В сложившейся практике это, как правило, оказывается дата государственной регистрации юрлица.

1. Шаг 3. При наличии — проверка актуальности сведений в реестре. Например, сотрудник, отвечающий за обработку персданных, мог поменяться. Могли возникнуть новые цели обработки, допустим, поиск новых кадров и подписание трудовых договоров. В подобной ситуации нужно выслать в РКН информационное письмо о внесении изменений (бланк содержится в приложении № 2 к Методическим рекомендациям).

Если оператор перестал обрабатывать персданные, к примеру, по причине ликвидации или реорганизации фирмы, ему также следует уведомить Роскомнадзор об этом. Бланк такого заявления содержится в приложении № 3 к Методическим рекомендациям.

Внимание! Если информация об операторе изменилась или он прекратил обрабатывать ПД, ему следует оповестить об этом Роскомнадзор в течение 10 рабочих дней с момента смены данных или прекращения работы. Этого требует ч. 7 ст. 22 Закона № 152-ФЗ.

После утверждения нового бланка

Новая версия бланка будет отличаться от текущей. Сейчас в уведомлении достаточно просто указать определённые факты: категории персданных и цели их обработки, категории их субъектов и правовое основание для обработки ПД, а также список действий с ними. В новой форме потребуются подробности: категории персданных и их субъектов, правовое обоснование и список действий необходимо будет прописывать по отдельности для каждой из целей обработки (последняя версия ч. 3 и ч. 3.1 ст. 22 Закона № 152-ФЗ).

Отсюда следует, что, когда новый бланк утвердят, Вам как оператору ПД, возможно, понадобится написать уведомление о внесении изменений в реестр. Данное предположение вытекает из текста, размещённого на портале РКН. Ведомство напоминает также, что в законах не зафиксирован крайний срок для подачи предпринимателями уведомлений об обработке персональных данных.